இரண்டு OpenVPN பாக்கெட் பாதைகளுக்கான Shorewall மண்டலங்கள்
மறையாக்கப்பட்ட OpenVPN போக்குவரத்தை மறைகுறியீடு நீக்கப்பட்ட வாடிக்கையாளர் போக்குவரத்திலிருந்து பிரிக்கவும், சுரங்கப்பாதைக்கு அதன் சொந்த மண்டலத்தை வழங்கவும், வாடிக்கையாளருக்குத் தேவையான ஒரே சேவையை மட்டும் அனுமதிக்கவும்.
இரண்டு பாக்கெட் ஓட்டங்கள் OpenVPN ஐ முடிக்கும் Shorewall நுழைவாயிலைக் கடக்கின்றன, அவற்றில் ஒன்று மட்டுமே மறையாக்கப்பட்டுள்ளது. முதலாவது இணையத்தை நோக்கிய இடைமுகத்தில் உள்ள VPN கேட்பானுக்கு வாடிக்கையாளரின் போக்குவரத்து. இரண்டாவது சுரங்கப்பாதை இடைமுகத்திலிருந்து வெளியேறும் மறைகுறியீடு நீக்கப்பட்ட கோரிக்கை, இது அலுவலக சேவையகம் அல்லது நுழைவாயிலில் உள்ள சேவையை நோக்கிச் செல்கிறது. கொள்கையைத் திருத்தும் முன் இரண்டையும் வரையவும், ஏனெனில் முதலாவதைப் பூர்த்தி செய்யும் விதி இரண்டாவதற்கு எதுவும் செய்யாது.
கொள்கையைத் திருத்தும் முன் இரண்டு ஓட்டங்களையும் வரையவும்
ஓட்டங்களை மூலம், இலக்கு, நெறிமுறை மற்றும் துறைமுகத்துடன் வரிகளாக எழுதவும். வெளிப்பாதையில் மூலம் வாடிக்கையாளரின் பொது முகவரி, இலக்கு நுழைவாயிலின் கேட்புத் துறைமுகம்; Shorewall இதை இணையத்திலிருந்து தீவரச் சுவருக்கான போக்குவரத்தாகக் கருதுகிறது. உட்பாதையில் மூலம் சுரங்கப்பாதை முகவரி வரம்பு, இலக்கு அனுமதிக்கப்பட்ட சேவை. ஒரே நிர்வாகி இரண்டையும் பராமரித்தாலும் இரு வரிகளின் உரிமையாளர்கள் வேறுபடுகிறார்கள்.
| Flow | Zone relationship | What to constrain |
|---|---|---|
| Encrypted OpenVPN transport | Internet to the firewall host | The listener's actual protocol and port |
| Decrypted request to a LAN service | VPN clients to the LAN zone | One approved server and service |
| Decrypted request to the gateway | VPN clients to the firewall host | Only the local services required |
| Request to another VPN client | VPN clients to VPN clients | Denied unless deliberately required |
கோரிக்கை நுழைவாயிலிலேயே முடிந்தால் மட்டும் வரியைச் சேர்க்கவும், எடுத்துக்காட்டாக தீர்வு அல்லது நிர்வாக அணுகல். புரவலனில் உள்ள சேவை அனுப்பப்பட்ட பாதையை அல்ல, புரவலன் உள்ளீட்டுக் கொள்கையைப் பின்பற்றுகிறது. இவை இரண்டையும் கலப்பதால் தான் குறுகிய சுரங்கப்பாதை விதி இறுதியில் நிர்வாக இடைமுகத்தை வெளிப்படுத்துகிறது.
சுரங்கப்பாதை மண்டலத்தையும் இடைமுக எல்லையையும் ஒதுக்கவும்
பயணி மண்டலம் /etc/shorewall/zones இல் அறிவிக்கப்பட்டு, சுரங்கப்பாதை இடைமுகம் /etc/shorewall/interfaces இல் இணைக்கப்பட்டு, வெளி இணைப்பு /etc/shorewall/tunnels இல் விவரிக்கப்படுகிறது. நிறுவப்பட்ட பதிப்பின் தொடரியலுக்கு இணங்கவும், ஏனெனில் நிரல் வரிசையும் விருப்பப் பெயர்களும் முக்கிய பதிப்புகளுக்கு இடையே மாறியுள்ளன. வழிகாட்டியின் எடுத்துக்காட்டு துறைமுகம், டீமான் உண்மையில் கேட்கும் துறைமுகத்திலிருந்து வேறுபட்ட துறைமுகத்தை அனுமதிக்கும் காரணம் அல்ல. எண்கள் பொருந்துவதால் மட்டும் TCP மற்றும் UDP ஒன்றுக்கொன்று மாற்றக்கூடியவை அல்ல.
வழிகாட்டி இடைமுகங்களை tun+ மூலம் தொகுக்கிறது. ஒன்றுக்கு மேற்பட்ட சுரங்கப்பாதைகள் உள்ள புரவலனில், அந்த வைல்ட்கார்டு வேறு நம்பிக்கை மட்டத்தின் இரண்டாவது VPN ஐ அதே மண்டலத்தில் வைக்கலாம். எல்லையை உண்மையில் உள்ள இடைமுகங்களுடன் ஒப்பிட்டு மறுபார்வையிடவும், இடைமுகப் பெயர்களை கையால் திருத்துவதற்குப் பதிலாக பெயரிடலை இணைப்பு மேலாளரின் வாழ்க்கைச் சுழற்சியின் கீழ் வைக்கவும்.
வரலாற்று வழிகாட்டியில் மிகப் பழைய OpenVPN கட்டமைப்பு மாதிரிகள் உள்ளன, அதன் மறையாக்க ஆலோசனைகள் தற்போதைய பயன்பாட்டில் நகலெடுக்கப்படக்கூடாது. அதற்குப் பதிலாக மண்டலம் மற்றும் ஓட்ட மாதிரியைக் கடன் வாங்கவும். மறையாக்க அடித்தளத்தை நுழைவாயிலின் பராமரிக்கப்படும் OpenVPN கொள்கையிலிருந்து எடுக்கவும்.
நீங்கள் வகைப்படுத்திய பாதையை மட்டும் அனுமதிக்கவும்
VPN மண்டலத்திலிருந்து LAN க்கு பரந்த அனுமதி ஒரு தொடக்க வரைபடம், முடிக்கப்பட்ட கொள்கை அல்ல. அனுமதிக்கப்பட்ட வாடிக்கையாளர் மூலம், உண்மையான சேவை முகவரி, நெறிமுறை மற்றும் துறைமுகத்தை எழுதவும். பின்னர் அதற்கு மேலுள்ள விதிகளையும் மண்டலத்தின் இயல்புநிலையையும் படிக்கவும், ஏனெனில் குறுகிய சேர்ப்பு ஏற்கனவே பொருந்தும் பரந்த அனுமதியை ரத்து செய்யாது. நுழைவாயில் புரவலனை நோக்கிய போக்குவரத்து அதன் வழியாக அனுப்பப்படும் போக்குவரத்திலிருந்து தனி உறவு.
வாடிக்கையாளர்களுக்கிடையேயான போக்குவரத்துக்கு அதன் சொந்த முடிவு தேவை. OpenVPN இன் client-to-client மற்றும் Shorewall இன் routeback இரண்டும் வாடிக்கையாளர்கள் ஒருவரையொருவர் அடைய முடியுமா என்பதைப் பாதிக்கின்றன, ஒரு LAN பயன்பாட்டை இயக்குவதற்காக மட்டும் எதையும் இயக்கக்கூடாது. சோதிப்பதற்கு முன் தனிமைப்படுத்தல் எங்கு அமல்படுத்தப்படுகிறது என்பதை முடிவு செய்யவும்.
பதில் பாதையை அதே திட்டத்தில் வைக்கவும். சேவை அல்லது அதன் திசைவி போக்குவரத்தை சுரங்கப்பாதை வரம்புக்கு எவ்வாறு திருப்பி அனுப்புவது என்பதை அறிந்திருக்க வேண்டும், அல்லது வடிவமைப்பு மூலத்தை வேண்டுமென்றே மற்றும் நோக்கமான எல்லைக்குள் மொழிபெயர்க்க வேண்டும்.
சரிபார்க்கவும், பின்னர் இரு பாதைகளையும் நிரூபிக்கவும்
எதையும் மறுதொடக்கம் செய்வதற்கு முன் கட்டமைப்பைச் சரிபார்க்கவும், புதிய கொள்கை தவறாக இருந்தால் என்பதற்காக சுயாதீன நிர்வாக அமர்வைத் திறந்து வைக்கவும்.
shorewall checkதூய்மையான சோதனைக்குப் பின் கட்டமைப்பைப் பயன்படுத்தி Shorewall ஏற்றியதை மீண்டும் படிக்கவும். இந்த வாசிப்புகள் கோப்பு சொல்வதாகத் தோன்றுவதை அல்ல, இயங்கும் கொள்கையை விவரிக்கின்றன.
shorewall show zones
ip route get 192.168.10.20ஒரே வாடிக்கையாளரிடமிருந்து புதிதாக அனுமதிக்கப்பட்ட ஒரு கோரிக்கையையும் வேண்டுமென்றே நிராகரிக்கப்பட்ட ஒரு கோரிக்கையையும் சோதிக்கவும். வெற்றிகரமான OpenVPN கைக்குலுக்கல் வெளிப்புற பரிமாற்றத்தை மட்டும் நிரூபிக்கிறது; அனுமதிக்கப்பட்ட சேவையும் நிராகரிக்கப்பட்ட வளமும் நீங்கள் நோக்கிய உள் கொள்கையை நிரூபிக்கின்றன. பின்னர் வாடிக்கையாளரை மீண்டும் இணைத்து மீண்டும் செய்யவும், ஏனெனில் சுரங்கப்பாதை இடைமுகத்தின் பெயரும் முகவரியும் அமர்வுகளுக்கு இடையே மாறலாம். முடிவு வேறுபட்டால் விதியை விரிவாக்குவதற்குப் பதிலாக மண்டலத்தின் எல்லையைச் சரிசெய்யவும்.